<!DOCTYPE html>
<html>
  <head>
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
  </head>
  <body>
    <p>Hi Havard,</p>
    <p>Accepting sparsely TSIG signed transfers is a requirement of RFC
      8945 (see
      <a class="moz-txt-link-freetext" href="https://www.rfc-editor.org/rfc/rfc8945.html#name-tsig-on-tcp-connections">https://www.rfc-editor.org/rfc/rfc8945.html#name-tsig-on-tcp-connections</a>
      ):</p>
    <p>    "For backward compatibility, a client that receives DNS
      messages and verifies TSIG <span class="bcp14">MUST</span> accept
      up to 99 intermediary messages without a TSIG and <span
        class="bcp14">MUST</span> verify that both the first and last
      message contain a TSIG."</p>
    <p>Also, CVE-2026-19033 is about the issue that named didn't roll
      back to the state before a transfer was started when an invalid
      TSIG is occurred (see: <a class="moz-txt-link-freetext" href="https://app.opencve.io/cve/CVE-2026-19033">https://app.opencve.io/cve/CVE-2026-19033</a> ).
      Requiring a TSIG on every message is a radical remedy (breaking
      the standard) and could have been addressed more on-target
      instead.</p>
    <p>That said, RFC 8945 does require servers to TSIG sign all the
      outgoing messages (Postel's law), so I'll have a look if I can
      provide a patch for OpenDNSSEC to do just that.</p>
    <p>I'll keep you posted.</p>
    <p>Best regards,</p>
    <p>-- Willem</p>
    <div class="moz-cite-prefix">On 9/18/26 14:55, Havard Eidnes via
      Opendnssec-user wrote:<br>
    </div>
    <blockquote type="cite"
      cite="mid:20260918.145528.1314790663464938093.he@uninett.no">
      <pre wrap="" class="moz-quote-pre">Hi,

it appears that one of the security fixes in the BIND 9.20.29
release is hitting a possible bug of omission in OpenDNSSEC, at
least in version 2.1.13 (no, I'm not on the latest...), ref.:

    Require a TSIG on every message of incoming zone
    transfers. (CVE-2026-19033)

    Previously, named accepted TSIG-signed zone transfers in
    which some messages were unsigned, and processed those
    messages before the next signature could vouch for them. It
    now requires a TSIG on every message of an incoming AXFR or
    IXFR; all modern nameservers already sign every message, so
    no change is expected in practice. [GL #6062]

After upgrading the "downstream" name server of OpenDNSSEC to
BIND 9.20.29, I'm seeing

Sep 18 14:26:33 xxxxx ods-signerd: [socket] unable to handle outgoing tcp response: write() failed (Broken pipe)

messages logged by OpenDNSSEC, and on the BIND side:

Sep 18 12:05:21 yyyyy named[22162]: 0x6fe6d25cec10: transfer of '114.39.158.in-addr.arpa/IN' from a.b.c.d#53: failed while receiving responses: expected a TSIG or SIG(0)

(No, those are not the same event, but the pattern is clear.)

For now I'm downgrading the downstream BIND name server to the
previous BIND release, 9.20.27 (28 was skipped).

It would however be nice if this bug of omission in OpenDNSSEC
could be fixed.  Any chance of that happening?

Best regards,

- Håvard
_______________________________________________
Opendnssec-user mailing list
<a class="moz-txt-link-abbreviated" href="mailto:Opendnssec-user@lists.opendnssec.org">Opendnssec-user@lists.opendnssec.org</a>
<a class="moz-txt-link-freetext" href="https://lists.opendnssec.org/mailman/listinfo/opendnssec-user">https://lists.opendnssec.org/mailman/listinfo/opendnssec-user</a>
</pre>
    </blockquote>
  </body>
</html>